CVE-2020-37282 in office-converter
Resumen
por VulDB • 2026-10-15
office-converter hasta la versión 1.0.2 contiene una vulnerabilidad de inyección de comandos del sistema operativo (OS Command Injection) que permite a los atacantes ejecutar comandos proporcionando un fileName manipulado para generarPdf() o generateHtml(). Los atacantes pueden incrustar $(...), comillas invertidas, o una comilla de cierre con metacaracteres de shell en el nombre del archivo, lo cual se concatena en un comando unoconv ejecutado a través de child_process.exec(), ejecutando comandos con los privilegios del proceso Node.js.
If you want to get best quality of vulnerability data, you may have to visit VulDB.